====== Сажаем apache в тюрьму, а шифровки ему туда будет носить nginx ======

----

====== Введение ======

В далеком 2007-м году автор столкнулся с проблемой когда один из сайтов был взломан, и злоумышленник получил доступ к консоле сервера. Присутствие постороннего было обнаружено, только через два часа и за это время он успел дотянуться до других серверов, которые находились в dmz. С тех пор я предпочитаю рассаживать сайты по разным jail-ам и максимально изолировать их друг от друга и от базового сервера, для того чтоб максимально усложнить жизнь очередному хакеру. 8-) 

====== Настройка ======

Начнем с создания пустой клетки, из которой потом по необходимости будет клонировать рабочие. В принципе можно каждый раз клетку создавать с нуля.

===== Создание базовой jail =====

Создаем файловую систему для клеток, и внутри нее еще одну ФС для клетки с лимитом в 5Gb:

<code>
zfs create -o mountpoint=/jails zroot/jails
zfs create -o quota=5G zroot/jails/empty
</code>

Скачиваем архив с базовой системой и разворачиваем его:

<code>
cd /jails/empty
fetch http://ftp.ru.freebsd.org/pub/FreeBSD/releases/amd64/12.2-RELEASE/base.txz
tar xvJf ./base.txz
rm -f ./base.txz
</code>

Обновляем систему внутри будущей клетки:

<code>
freebsd-update -b /jails/empty/ fetch install
</code>

Теперь базовая пустая клетка готова. При необходимости новую jail можно создать на ее основе при помощи команды zfs clone:
 
<code>
zfs snapshot zroot/jails/empty@12.1 && zfs list -t snapshot
zfs clone zroot/jails/empty@12.1 zroot/jails/www
</code>

===== Настройка системы =====

Поскольку мы хотим максимально изолировать клетку от внешнего мира и от базового сервера, то работать с интернетом они будут через сетевой мост.

==== rc.conf ====

Создадим два интерфейса для двух разных клеток. В /rtc/rc.conf прописываем:

<code>
cloned_interfaces="bridge0 epair0 epair1"
ifconfig_bridge0="inet 10.0.0.1/24 addm epair0b addm epair1b up"
ifconfig_epair0b="up"
ifconfig_epair1b="up"
</code>

Поднимаем интерфейсы:

<code>
service netif cloneup
</code>

==== Firewall ====

По умолчанию у клеток не будет доступа в интернет, но он потребуется для установки и обновления ПО. Поэтому в /etc/pf.conf прописываем:

<code>
nat on $ext_if from 10.0.0.0/24 to any -> ($ext_if)

table <jails> persist

pass inet proto tcp from <jails> to any port { http, https } flags S/SA keep state
</code>

применяем новые правила:

<code>
service pf reload
</code>

Теперь для того, чтоб предоставить клетке доступ в интернет для обновления ПО достаточно просто добавить в таблицу jails необходимые ip адреса.

==== Настройка jail ====

Создаем /etc/jail.conf:

<code>
exec.start = "/bin/sh /etc/rc";
exec.stop = "/bin/sh /etc/rc.shutdown";
exec.clean;
mount.devfs;
path = "/jails/$name";
exec.consolelog = "/var/log/jail_${name}_console.log";

www {
        $vif = "epair0a";

        host.hostname = "www.local";
        vnet;
        vnet.interface = $vif;

        # workaround
        # https://bugs.freebsd.org/bugzilla/show_bug.cgi?id=238326
        exec.prestop  += "ifconfig $vif -vnet $name";

        allow.chflags;
        devfs_ruleset = 10;
}
</code>

Так же перед запуском надо настроить сеть внутри самой клетки. Для этого создаем файлы rc.conf: 

<code>
echo 'defaultrouter="10.0.0.1" \
ifconfig_epair0a="10.0.0.2/24"' >> /jails/www/etc/rc.conf
</code>

и файл resolv.conf:

<code>
echo 'nameserver 10.0.0.1' >> /jails/www/etc/resolv.conf
</code>



===== Настройка jail =====

==== Запуск ====

Даем клетке временный доступ в интернет:

<code>
pfctl -t jails -Ta 10.0.0.2
</code>

Включаем и запускаем сервис:

<code>
service jail enable
service jail start
</code>

Посмотреть список запушенных клеток:

<code>
jls
</code>

Обновляем pkg внутри клетки и устанавливаем zsh:

<code>
pkg -j www upgrade
pkg -j www install zsh
</code>

Заходим в консоль клетки:

<code>
jexec www
</code>

==== Установка и настройка apache ====

Устанавливаем apache с поддержкой php и mysql:

<code>
pkg install apache24
pkg install php74 mod_php74 php74-extensions php74-mysqli
</code>

Для поддержки php добавляем в httpd.conf: 

<code>
<IfModule mime_module>

     [...]

    AddType application/x-httpd-php .php .php3 .phtml
    AddType application/x-httpd-php-source .phps

</IfModule>
</code>

Запускаем:

<code>
service apache24 enable
service apache24 start
</code>

====== NGINX ======

Осталось только установить и настроить nginx, чтоб он работал как прокси для apache.

<code>
pkg install nginx
</code>

Пример конфигурационного файла:

<code>
worker_processes  1;

events {
    worker_connections  1024;
}

http {
    include       mime.types;
    default_type  application/octet-stream;

    server_tokens  off;
    sendfile        on;

    keepalive_timeout  65;

    server {
        listen       80  default_server;
        listen      443  default_server;
        server_name  _;
        access_log off;
        log_not_found off; # Optional
        return       444;

	ssl_certificate /usr/local/etc/nginx/ssl/bhole.crt;
	ssl_certificate_key /usr/local/etc/nginx/ssl/bhole.key;
    }

    server {
        listen 80;
        server_name www.nzgw.ru nzgw.ru;

        return 301 https://www.nzgw.ru$request_uri;
    }

    server {
        listen 443 ssl;
        server_name www.nzgw.ru nzgw.ru;

        ssl_certificate /usr/local/etc/letsencrypt/live/nzgw.ru/fullchain.pem;
        ssl_certificate_key /usr/local/etc/letsencrypt/live/nzgw.ru/privkey.pem;
        ssl_trusted_certificate /usr/local/etc/letsencrypt/live/nzgw.ru/chain.pem;

        ssl_prefer_server_ciphers on;
        ssl_session_timeout 1d;
        ssl_session_cache shared:SSL:50m;
        ssl_session_tickets off;

    # Diffie-Hellman parameter for DHE ciphersuites, recommended 2048 bits
        ssl_dhparam /usr/local/etc/ssl/dh2048.pem;

        location / {
            proxy_pass http://10.0.0.2;
            proxy_set_header Host $host;
            proxy_set_header X-Real-IP $remote_addr;
            proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
            proxy_set_header X-Forwarded-Proto https;
          }
    }
}
</code>

Запуск:

<code>
service nginx enable
service nginx start
</code>